La National Security Agency, la Cybersecurity and Infrastructure Security Agency et le Federal Bureau of Investigation des États-Unis ont publié le 8 septembre 2026 un avis commun sur ce qu'ils décrivent comme des campagnes industrielles de distillation de connaissances visant des fournisseurs américains de modèles IA avancés. Les agences accusent six entreprises d'IA établies en Chine d'avoir utilisé des comptes distribués, des accès cloud, des agrégateurs d'API et des services mandataires pour collecter des sorties de modèles destinées à l'entraînement.
Cette accusation est une évaluation gouvernementale et non une décision de justice. La valeur opérationnelle de l'avis réside dans ses mesures de détection et d'atténuation. Il traite l'extraction de modèles comme un problème de sécurité coordonné qui ne peut pas être résolu par une seule limite de débit ou un rappel des conditions d'utilisation.
Ce qu'affirme l'avis
Les agences nomment DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Elles soutiennent que ces entreprises ont extrait des milliards de jetons depuis au moins la fin de 2024, en ciblant notamment le raisonnement, le génie logiciel, les fonctions agentiques et l'utilisation d'un ordinateur.
L'avis décrit plusieurs voies d'accès:
- les API natives et les abonnements premium;
- les plateformes cloud et agrégateurs tiers;
- des groupes de comptes présentant des modes communs de paiement ou d'inscription;
- des services mandataires qualifiés de stations de transfert;
- un routage automatique qui déplace le trafic quand une voie est bloquée; et
- des contrôles de qualité conçus pour détecter une réponse dégradée ou modifiée.
Il s'agit d'affirmations des trois agences. Le rapport public ne révèle pas tous les renseignements sous-jacents, et la responsabilité des entreprises citées n'a pas été établie par un tribunal. Reuters a confirmé indépendamment la publication et rapporté les accusations américaines. Cela corrobore l'existence et la présentation publique de l'avis, pas chaque attribution qu'il contient.
La détection doit relier identité, comportement et infrastructure
Le rapport recommande de surveiller des motifs qui prennent sens lorsqu'ils sont combinés. Il cite des comptes partagés depuis plusieurs adresses IP ou agents utilisateurs, une activité continue sans périodes d'inactivité normales, un débit d'entreprise sur des abonnements individuels, une consommation immédiatement maximale par de nouveaux comptes et des déplacements coordonnés entre fournisseurs ou voies d'accès.
Les changements de métadonnées peuvent aussi constituer un signal. Une grande campagne peut supprimer brusquement des marqueurs organisationnels stables après la diffusion de règles de détection. Des valeurs génériques ou aléatoires peuvent remplacer les anciens motifs. L'usage peut être anormalement optimisé pour le cache, l'épuisement de quotas ou des domaines étroits et répétitifs plutôt que pour une diversité de tâches.
Aucun indicateur ne prouve à lui seul une distillation malveillante. Un groupe de recherche, une évaluation d'entreprise, un service d'accessibilité ou un revendeur d'API peut produire des signaux similaires. Le fournisseur a besoin d'un processus documenté qui combine l'historique du compte, les liens de paiement, la similarité des prompts, le calendrier du trafic, les modèles visés, le routage et les schémas de collecte.
Trois actions immédiates structurent les recommandations
Le résumé de l'avis donne trois priorités aux fournisseurs d'IA:
- Détecter les prompts, comptes, réseaux et comportements anormaux sur les abonnements et les API.
- Modifier de façon ciblée les réponses aux tentatives malveillantes établies avec une forte confiance afin de réduire leur valeur d'entraînement.
- Partager des renseignements entre fournisseurs de modèles, plateformes cloud, agrégateurs d'API et services d'infrastructure pour rendre visible une campagne distribuée.
La section détaillée évoque des contrôles d'identité, des limites de débit, la détection des entrées adverses, les ensembles prédictifs, des réponses variées et la confidentialité différentielle.
La modification des réponses est sensible. Elle exige une règle à forte confiance, des preuves d'audit, une surveillance des dommages et une exception pour la recherche légitime. L'avis demande d'informer les chercheurs et évaluateurs des changements tout en maintenant les protections.
Pourquoi il s'agit d'un événement de sécurité IA
Les contrôles d'abus traditionnels visent souvent le vol de comptes, la fraude, le volume ou la disponibilité. La distillation ajoute un actif: le comportement et la capacité spécialisés exprimés par le modèle. Un acteur peut répartir la collecte entre des comptes ordinaires, puis combiner les données ailleurs.
L'inventaire et la traçabilité deviennent donc essentiels. Un fournisseur doit savoir quelle version a répondu, quelle politique et quelle configuration de sécurité s'appliquaient, quel canal a été utilisé et si des comptes liés ont touché d'autres modèles. Le guide Maetra sur la surveillance des comportements risqués des agents explique comment relier les événements entre identités, outils et effets. Le guide des preuves d'audit IA décrit les éléments nécessaires pour reconstruire une décision sans conserver de contenu sensible inutile.
Gouverner la réponse défensive
Un programme défendable doit séparer observation, suspicion, restriction et application confirmée. Chaque étape exige un seuil et un responsable.
| Étape | Preuve minimale |
|---|---|
| Observer | Anomalie d'usage liée à un compte, une voie, un modèle et une période |
| Enquêter | Corrélation entre identité, prompt, paiement, trafic ou collecte |
| Restreindre | Seuil de politique documenté et limite réversible d'accès ou de sortie |
| Escalader | Revue indépendante de l'attribution, de l'impact client et de la base juridique |
| Partager | Indicateurs nettoyés avec provenance, confiance et expiration |
Cette structure compte, car un faux positif peut bloquer une recherche ou un usage professionnel légitime. Les contrôles devraient conserver la raison exacte, la version du modèle, les signaux, la version de politique, le réviseur, l'action et le résultat ultérieur. Les indicateurs partagés doivent expirer ou être réévalués afin qu'un ancien motif d'infrastructure ne devienne pas une accusation permanente.
Ce qui reste incertain
L'avis fournit des tactiques détaillées et une attribution nominative, mais offre peu de visibilité publique sur les preuves propres à chaque entreprise. Il ne quantifie pas les faux positifs des signaux proposés et ne démontre pas l'efficacité de la modification des réponses à l'échelle de la production.
Les responsables de la sécurité, du droit, de la vie privée et du produit devraient examiner toute mesure contre un compte.
Analyse de Maetra
La leçon principale est le besoin d'un graphe de preuves couvrant plusieurs systèmes. L'identité du compte est trop étroite, et l'inspection des prompts seule se contourne facilement. Les fournisseurs devraient relier source d'accès, relations entre comptes, version du modèle, familles de prompts, volume de réponses, calendrier, signaux de paiement et comportement de collecte.
La réponse doit aussi être gouvernée. Une activité malveillante établie avec une forte confiance peut justifier des contrôles renforcés, mais la décision devrait être examinable et réversible lorsque c'est possible. Il faut enregistrer pourquoi le seuil a été atteint, quelle restriction a été appliquée, quelle exception client ou recherche a été considérée et si l'action a produit l'effet attendu.
L'avis commun constitue un développement important, car il transforme une inquiétude générale sur la copie des modèles en pratiques précises de détection et de coordination. Ses accusations exigent toujours une attribution prudente, et ses mesures devront être évaluées indépendamment avant de devenir une preuve d'efficacité.